Ingenieur für Anwendungssicherheit

Arbeitszeit: Vollzeit
Erfahrung: Erforderlich sind mindestens 5 Jahre Anwendungssicherheit mit wesentlicher Zeit in der Auslieferung von Sicherheitsprodukten sowie Erfahrung im dynamischen Startup-Engineering.
Vergütung: 160.000 – 220.000 USD / Jahr

Die Rolle in Kürze

Die Rolle verantwortet die fachliche Sicherheitsbewertung zwischen Werkzeugausgaben und kundenbezogenen Befunden. Sie arbeitet mit Backend- und Fullstack-Engineering, Produktmanagement und Design sowie direkt mit nutzenden Sicherheitsteams zusammen, um Befunde nutzbar zu machen und die Produktentwicklung zu steuern.

Deine Aufgaben

Die Rolle verantwortet Integration, Konfiguration und Ausgabequalität der Sicherheitswerkzeuge und entscheidet, welche Befunde angezeigt, unterdrückt oder angereichert werden.
Sie entwickelt Regeln, Schweregradbewertungen und Triage-Abläufe sowie eine kontextbezogene Priorisierung und Bewertung der Ausnutzbarkeit von Schwachstellen.
Sie gestaltet mit Backend- und Fullstack-Engineering die Speicherung, Anreicherung und Darstellung von Befunden sowie Abläufe zur Behebung von Schwachstellen.
Sie bestimmt mit Produktmanagement und Design die Roadmap-Prioritäten und vertritt Sicherheitsbelange bei Produkt- und Engineering-Entscheidungen, gegebenenfalls auch mit Widerspruch.
Sie prüft und gestaltet Architekturentscheidungen, die Sicherheitsergebnisse beeinflussen.
Sie klärt mit den nutzenden Sicherheitsteams deren Bedürfnisse, Plattformnutzung und Einführungshindernisse und setzt Rückmeldungen zügig in Verbesserungen um.
Sie vergleicht die Ausgabequalität mit Wettbewerbsangeboten und schließt festgestellte Lücken.
Sie trägt zu den eingesetzten Open-Source-Sicherheitswerkzeugen bei, sofern dies sinnvoll ist.

Das solltest du mitbringen

Erforderlich

Erforderlich sind mindestens 5 Jahre Erfahrung in Anwendungssicherheit, davon ein wesentlicher Zeitanteil in der Auslieferung von Sicherheitsprodukten.
Erforderlich sind starke Programmierkenntnisse in mindestens einer der Sprachen Go, Python oder TypeScript für eine Produktentwicklungsrolle mit vertiefter Sicherheitsexpertise, nicht für den Sicherheitsbetrieb.
Erforderlich ist praktische Erfahrung mit der Abstimmung von Sicherheitswerkzeugen für den Produktionseinsatz, einschließlich der Reduzierung von Fehlalarmen, der Entwicklung von Unterdrückungslogik und der Gestaltung von Schweregradmodellen.
Erforderlich ist Verständnis für Schwachstellenforschung, CVE/CWE-Taxonomien und die Bewertung der Ausnutzbarkeit von Schwachstellen.
Erforderlich ist eine fundierte Auseinandersetzung damit, was einen Sicherheitsbefund tatsächlich handlungsrelevant macht und nicht lediglich technisch zutreffend.
Erforderlich sind ausgezeichnete Kommunikationsfähigkeiten und Sicherheit im direkten Umgang mit Kundinnen und Kunden.
Erforderlich ist eine pragmatische Arbeitsweise, mit der sich Lösungen schnell und ohne unnötige Komplexität entwickeln lassen.
Erforderlich sind Erfahrung in einem dynamischen Startup-Engineering-Umfeld und die Fähigkeit, darin erfolgreich zu arbeiten.

Von Vorteil

Besonders erwünscht sind Personen, die bestehende Zustände hinterfragen und verändern möchten sowie eigene Positionen vertreten, ohne starrsinnig zu sein, entschlossen und kooperativ handeln und zügiges Vorankommen ermöglichen.
Besonders erwünscht sind klare Kommunikation sowie die Verantwortung für eigene Ideen und deren konsequente Umsetzung.
Von Vorteil ist Erfahrung mit der Auslieferung eines Sicherheitsprodukts bei einem Anbieter.
Von Vorteil sind Beiträge zu Open-Source-Sicherheitswerkzeugen.
Von Vorteil sind ein Hintergrund in offensiver Sicherheit oder eine OSCP-Zertifizierung beziehungsweise vergleichbare Zertifizierungen.
Von Vorteil ist praktische Erfahrung mit LLM-Agenten, Werkzeugnutzung durch solche Systeme oder autonomen KI-Systemen.

Weitere Angaben

Gesucht werden engagierte, eigeninitiativ handelnde Personen mit Entwicklungsorientierung, Tatkraft und persönlicher Verantwortung, die schwierige Probleme gerne lösen und mit Unklarheit gut zurechtkommen.

So ist Remote hier geregelt

Die Arbeit erfolgt nach einem Remote-first-Modell. Weltweite Einstellungen sind dort möglich, wo eine rechtmäßige Beschäftigung direkt oder über einen Employer-of-Record-Partner möglich ist.
Bei einem Standort außerhalb der USA wird eine möglichst rechtskonforme Beschäftigungsform für den jeweiligen Standort geprüft.
Es gibt gemeinsame Teamaufenthalte außerhalb des regulären Arbeitsorts, beispielsweise in Amsterdam oder Italien.

Das wird angeboten

Angeboten werden umfassende Gesundheits- und Wellnessleistungen sowie jährlich 20 Tage bezahlte Freizeit und zusätzlich 8 frei wählbare Feiertage.
Zum Angebot gehören Teamaufenthalte, beispielsweise in Amsterdam oder Italien, sowie eine marktgerechte Vergütung und Unternehmensbeteiligung.
Die Vergütung richtet sich nach geografischen Gehaltsbändern; die Gehaltsspanne der Rolle basiert auf einem landesweiten US-Niveau. In Märkten mit höheren Arbeitskosten, etwa San Francisco, New York oder Zürich, können Angebote am oberen Ende oder darüber liegen; in anderen Märkten orientieren sie sich an lokalen Standards und fallen niedriger aus.
Innerhalb eines Gehaltsbands bestimmen Arbeitsort, im Interview gezeigte Fähigkeiten und Erfahrung sowie einschlägige Bildung oder Ausbildung die individuelle Vergütung. Die ausgewiesene Spanne umfasst ausschließlich das Grundgehalt, ohne Beteiligung und Zusatzleistungen.

So läuft die Bewerbung

Bei Bewerbenden mit Standort in den USA wird die Beschäftigungsberechtigung gemäß bundesrechtlichen Vorgaben über E-Verify geprüft.
Automatisierte und KI-gestützte Werkzeuge unterstützen die Prüfung von Bewerbungen und Qualifikationen sowie die Erkennung betrügerischer Einreichungen. Sie analysieren Bewerbungsdaten und Identitätssignale; sämtliche abschließenden Einstellungsentscheidungen trifft ein Mensch.
Bewerbende können Anpassungen des Verfahrens sowie Informationen zum Werkzeugeinsatz einschließlich der Ergebnisse einer Prüfung auf Verzerrungen anfordern. Das Verfahren unterliegt den geltenden bundesstaatlichen, einzelstaatlichen und lokalen Gesetzen.
Einwohnerinnen und Einwohner von New York City dürfen sich mindestens 10 Geschäftstage Zeit nehmen, um über die Datenübermittlung in diesem Verfahren zu entscheiden. Mit der Fortsetzung bestätigen sie ihr Verständnis des Hinweises; eine frühere Fortsetzung erfolgt bewusst und freiwillig.

Veröffentlicht: 28.05.2026 · Quelle geprüft: 18.10.2026.

Die Angaben sind für RemoteFruit einheitlich aufbereitet. Maßgeblich bleibt die Originalanzeige. RemoteFruit steht in keiner Partnerschaft mit dem ausschreibenden Unternehmen.